Antivirus traditionnel vs NGAV : pourquoi les signatures ne suffisent plus face aux malwares polymorphes ?

En tant qu’administrateur système, vous connaissez ce sentiment glacial : l’alerte de sécurité qui apparaît, signalant une compromission sur un poste pourtant « protégé » par l’antivirus de l’entreprise, avec des définitions de signatures à jour. C’est la réalité frustrante d’une cybersécurité qui court toujours après les menaces. On vous a probablement parlé des solutions de nouvelle génération (NGAV) et de leur intelligence artificielle, les présentant comme une solution miracle. La vérité, c’est que les antivirus basés sur les signatures ne sont plus adaptés face à la nature même des menaces modernes, comme les malwares polymorphes qui changent de forme à chaque infection.

Cependant, la transition est loin d’être un simple remplacement logiciel. L’abandon des signatures au profit de l’analyse comportementale introduit un nouveau paradigme opérationnel. La puissance de ces nouveaux outils est aussi leur plus grand défi : une capacité à détecter des comportements anormaux si fine qu’elle peut, si mal configurée, se retourner contre vous. Le véritable enjeu n’est donc pas de savoir si vous devez évoluer, mais comment le faire sans transformer la solution en un nouveau problème : blocage d’applications critiques, ralentissement de postes vieillissants ou noyade sous une avalanche de faux positifs.

Cet article n’est pas une simple comparaison. C’est une feuille de route pour vous, l’admin système dans les tranchées. Nous allons décortiquer les pièges concrets de la migration vers un NGAV/EDR et vous donner les clés pour les anticiper : du calibrage des faux positifs à la gestion de la performance, en passant par la transition en douceur et le complément indispensable de l’EDR.

Pour naviguer dans ce changement de paradigme, nous aborderons les points opérationnels essentiels. Ce sommaire vous guidera à travers les étapes clés pour une transition sécurisée et maîtrisée.

Pourquoi l’analyse heuristique détecte-t-elle ce que votre base de signatures ignore ?

L’antivirus traditionnel fonctionne comme un garde-frontière avec une liste de photos de suspects. Si une menace correspond exactement à une photo (une signature de fichier), elle est bloquée. Le problème est que les malwares modernes sont des maîtres du déguisement. Les malwares polymorphes et métamorphes modifient leur propre code à chaque nouvelle infection, rendant la signature de la veille instantanément obsolète. C’est un jeu du chat et de la souris où le défenseur a toujours un temps de retard.

L’analyse heuristique et comportementale du NGAV change complètement les règles. Au lieu de se demander « Est-ce que je connais ce fichier ? », il se demande « Que fait ce processus ?« . Il surveille les chaînes d’actions : un fichier Word qui exécute une macro, qui lance PowerShell, qui tente de chiffrer des fichiers dans le profil utilisateur. Chaque action, prise isolément, peut être légitime. C’est leur séquence et leur contexte qui sont suspects. L’efficacité est sans appel : les tests indépendants montrent que les NGAV leaders atteignent 100% de détection sur les menaces polymorphes, contre 85% pour les antivirus traditionnels.

Cependant, cette puissance a un coût : le risque de faux positifs. Un script d’administration maison ou une vieille application métier peuvent avoir un comportement atypique et légitime, que l’IA du NGAV pourrait interpréter comme malveillant. La clé n’est pas d’éviter l’heuristique, mais de la maîtriser. Un calibrage initial est donc fondamental pour « éduquer » la solution.

L’erreur de configuration qui bloque l’application comptable en pleine clôture fiscale

Le scénario cauchemardesque pour tout admin sys : vous venez de déployer un nouvel outil de sécurité ultra-performant, et le lendemain, le service comptabilité vous appelle en panique. Leur logiciel métier, vital pour la clôture fiscale, est bloqué. Le NGAV, dans sa quête zélée de protection, a identifié un processus légitime mais inhabituel comme une menace et l’a tué. C’est la friction de configuration la plus courante et la plus dangereuse : le faux positif qui a un impact business direct.

Ce n’est pas une anecdote. Une étude de 2024 révèle que les systèmes mal configurés génèrent en moyenne 3,4 faux positifs pour chaque vraie détection, avec un taux de précision parfois aussi bas que 22,7%. Sans une stratégie de déploiement adéquate, votre nouvelle solution de sécurité devient une source de problèmes plus qu’une solution. Déployer un NGAV en mode « protection maximale » dès le premier jour est la recette parfaite pour le désastre. La solution réside dans un calibrage progressif et contrôlé.

L’approche correcte consiste à utiliser les différents modes que proposent les solutions modernes. Commencer par un mode « Audit » ou « Apprentissage » permet à l’agent NGAV de cartographier les comportements normaux de votre parc informatique sans rien bloquer. Pendant cette phase, vous analysez les alertes générées pour identifier les processus légitimes et construire vos premières règles d’exclusion (whitelist). Ce n’est qu’après cette phase de stabilisation que vous pouvez monter progressivement en puissance.

Ce tableau illustre un chemin de déploiement séquentiel et sécurisé. Chaque étape permet d’affiner la configuration tout en minimisant l’impact sur les utilisateurs.

Scan complet ou temps réel : comment configurer l’agent pour ne pas ralentir les vieux PC ?

Une autre crainte légitime lors du passage au NGAV est l’impact sur les performances, surtout sur un parc hétérogène avec des machines plus anciennes. Le souvenir des antivirus d’antan, qui monopolisaient le CPU et les I/O disque pendant un scan complet hebdomadaire, est encore vif. La bonne nouvelle est que le paradigme de détection comportementale a aussi changé la donne en matière de performance. Un NGAV bien conçu est beaucoup moins gourmand qu’un AV traditionnel.

La protection en temps réel, basée sur l’analyse des événements système, est intrinsèquement plus légère qu’un scan systématique de chaque fichier. Les agents modernes sont optimisés pour avoir une empreinte minimale. Par exemple, certaines solutions leaders du marché affirment que leur agent léger utilise moins de 1% du processeur en fonctionnement normal. Le secret réside dans des techniques comme le caching intelligent, le déport des analyses lourdes dans le cloud et l’optimisation du code de l’agent.

Cependant, « faire confiance » n’est pas une stratégie. Vous devez *vérifier* et *mesurer* l’impact réel dans votre environnement. Mettre en place un protocole de test simple avant et après le déploiement sur un groupe pilote de machines (y compris les plus anciennes) vous permettra non seulement de choisir la solution la plus performante, mais aussi de justifier le changement en interne avec des données objectives.

Comment remplacer votre ancien antivirus sans laisser les postes sans défense pendant la transition ?

La migration d’un antivirus à un autre est un moment critique. La méthode « brutale » – désinstaller l’ancien, installer le nouveau – crée une fenêtre de vulnérabilité, même si elle ne dure que quelques minutes par poste. Multiplié par des centaines ou des milliers de machines, le risque devient significatif. La clé d’une migration réussie est une coexistence contrôlée et temporaire, suivie d’un déploiement par vagues.

La plupart des éditeurs de NGAV ont conçu leurs agents pour pouvoir coexister avec des antivirus traditionnels, à condition de configurer des exclusions mutuelles. L’agent NGAV doit être exclu des scans de l’ancien AV, et vice-versa. Cette coexistence permet de déployer le nouvel agent en mode « Audit » sur tout le parc, de collecter des données et de préparer la configuration, tout en laissant l’ancienne protection active. Ce n’est qu’une fois le NGAV prêt à passer en mode « Protection » que l’on peut commencer à désinstaller l’ancien AV, vague par vague.

Un projet de migration ne s’improvise pas et doit être séquencé. L’étude de cas de Pillaud Matériaux, accompagnée par Hexanet, montre qu’un « déploiement rapide et transparent » est possible grâce à un accompagnement et une méthodologie clairs. Cette approche phasée permet de gérer le risque, de former les équipes de support et d’ajuster la configuration en fonction des retours terrain.

Le tableau suivant détaille un plan de migration type, du pilote initial à la finalisation, garantissant une couverture de sécurité continue.

Quand les définitions ne se mettent plus à jour : diagnostiquer les problèmes de communication agent-serveur

Même si les NGAV dépendent moins des mises à jour de signatures que les AV traditionnels, ils ne sont pas pour autant autonomes. L’agent sur le poste client doit communiquer en permanence avec sa console de gestion dans le cloud (ou sur site). Cette communication est vitale pour plusieurs raisons : remonter les alertes de détection, recevoir les nouvelles politiques de sécurité, mettre à jour les modèles de machine learning et confirmer son état de santé. Un agent qui ne communique plus est un agent aveugle et potentiellement inefficace.

Les causes d’une rupture de communication sont multiples et souvent situées entre l’agent et le serveur. Un pare-feu trop restrictif, un proxy web qui inspecte et bloque le trafic TLS, un certificat expiré, un problème de résolution DNS… Le diagnostic peut vite devenir un casse-tête. Avoir une méthodologie de dépannage structurée est donc indispensable pour rapidement identifier et résoudre le problème avant qu’il ne se propage sur des centaines de postes.

Avant de contacter le support de l’éditeur, un bon administrateur système doit effectuer une série de vérifications de base. Cette checklist couvre les points essentiels à contrôler lorsqu’un ou plusieurs agents apparaissent comme « hors ligne » dans la console de gestion.

Documenter les résultats de ces tests vous fera gagner un temps précieux, que vous résolviez le problème vous-même ou que vous deviez créer un ticket de support détaillé.

SMBv1, TLS 1.0 : comment désactiver ces vieilleries sans casser vos vieilles imprimantes ?

Déployer le meilleur NGAV ou EDR du monde sur votre parc ne sert à rien si vous laissez des portes grandes ouvertes dans votre infrastructure. L’une des erreurs les plus courantes est de se concentrer uniquement sur la protection des postes de travail tout en ignorant la « dette technique » que représentent les protocoles obsolètes et vulnérables comme SMBv1 ou les anciennes versions de TLS.

Le cas de SMBv1 est emblématique. Ce protocole de partage de fichiers, activé par défaut sur d’anciennes versions de Windows, contient des failles critiques qui ont été exploitées massivement. L’exemple le plus tristement célèbre est l’attaque du ransomware WannaCry en 2017. Comme le rappelle une analyse, l’attaque WannaCry a affecté plus de 230 000 terminaux en exploitant spécifiquement une vulnérabilité dans SMBv1 pour se propager latéralement à une vitesse fulgurante. Un NGAV aurait peut-être bloqué l’exécution du ransomware sur le premier poste, mais il n’aurait pas empêché la tentative de propagation via un protocole fondamentalement cassé.

Le dilemme pour l’admin sys est que la désactivation de ces vieux protocoles peut casser des applications ou des équipements « legacy » qui en dépendent, comme de vieilles imprimantes réseau, des scanners ou des applications métier développées il y a dix ans. La solution n’est pas de ne rien faire, mais d’isoler et de contenir. Plutôt que de laisser ces équipements polluer votre réseau principal avec des protocoles dangereux, vous pouvez mettre en place des solutions de segmentation et de proxy.

Voici quelques stratégies pour gérer ces équipements legacy sans exposer l’ensemble de votre SI, de la plus simple à la plus complexe.

Protection vs Détection : pourquoi l’EDR est-il le complément indispensable de l’antivirus classique ?

Nous avons établi que le NGAV est supérieur à l’AV traditionnel pour la protection. Mais que se passe-t-il si une menace extrêmement sophistiquée, peut-être une attaque ciblée (APT), parvient tout de même à contourner cette première ligne de défense ? C’est ici qu’intervient une distinction fondamentale : la différence entre la Protection (EPP) et la Détection & Réponse (EDR).

Le NGAV, qui est une forme d’EPP (Endpoint Protection Platform), a pour mission principale d’empêcher les menaces de s’exécuter. Son but est de bloquer l’infection avant qu’elle ne se produise. L’EDR (Endpoint Detection and Response), lui, part du principe que la compromission est toujours possible. Sa mission n’est pas seulement de protéger, mais de fournir une visibilité totale sur tout ce qui se passe sur le terminal, de détecter les activités suspectes post-infection et de donner à l’analyste les moyens d’investiguer et de répondre à l’incident.

L’EDR est comme la boîte noire et la caméra de surveillance de votre poste de travail. Il enregistre en continu l’activité système (processus créés, connexions réseau, modifications de registre…) pour permettre une analyse forensique. Cette approche est devenue si cruciale que plus de 68 % des grandes entreprises utilisaient en 2024 des EDR dopés à l’IA. C’est le filet de sécurité indispensable qui prend le relais quand la protection a échoué.

L’EDR s’inscrit dans une approche globale de cybersécurité proactive. Il agit comme un filet de sécurité complémentaire : même si un vecteur d’attaque traverse les premières lignes de défense, il sera stoppé au niveau du terminal. Cette approche multicouche augmente considérablement la résilience face aux attaques.

– Mailinblack Research, Guide EDR 2025

Aujourd’hui, la plupart des solutions de pointe combinent NGAV et EDR dans un seul agent, offrant à la fois le meilleur de la protection préventive et les capacités d’investigation et de réponse post-incident.

EDR : comment transformer chaque PC en caméra de surveillance pour détecter les menaces avancées ?

L’analogie de l’EDR comme une « caméra de surveillance » est puissante, mais elle peut aussi faire peur. Pour un administrateur système, cela soulève des questions légitimes de performance, de stockage des données, et surtout de confidentialité (RGPD). Heureusement, un EDR moderne est une caméra intelligente, pas un simple enregistreur brut. Son but est de fournir une visibilité actionnable, pas de vous noyer sous un déluge de données inutiles.

Un EDR efficace collecte une télémétrie riche depuis chaque terminal : quel processus a lancé quel autre processus, avec quels arguments, quelles connexions réseau ont été établies, quelles clés de registre ont été modifiées, etc. Ces données sont ensuite corrélées, souvent dans le cloud, et comparées à des modèles de comportements malveillants connus, comme ceux décrits dans le framework MITRE ATT&CK®. L’objectif est de repérer des signaux faibles qui, mis bout à bout, révèlent une attaque en cours.

La performance d’un EDR se mesure à sa capacité à détecter les menaces avec un minimum de bruit. Par exemple, lors des tests MITRE ATT&CK, la solution française HarfangLab, certifiée par l’ANSSI, a obtenu un taux de détection de 100% avec une précision de 99%. Ce très faible taux de faux positifs est crucial car il permet aux équipes de sécurité (SOC) de se concentrer sur les alertes réelles et pertinentes.

Déployer une telle « caméra » impose cependant des responsabilités, notamment vis-à-vis du RGPD. La collecte de données, même techniques, doit être justifiée, proportionnée et transparente pour les employés.

N’attendez plus que votre antivirus traditionnel vous fasse défaut. Le passage au couple NGAV/EDR est une évolution inévitable pour contrer les menaces modernes. Commencez dès aujourd’hui à planifier votre migration en lançant un projet pilote en mode audit pour évaluer les solutions et préparer le terrain sans risque pour votre production.